# Technische und organisatorische Maßnahmen: Auszug

**Legends Live Forever LLC, CORE Navigator (Website www.core-navigator.com)**
Auszug, Stand 28. Oktober 2026

Dieser Auszug nennt nur Maßnahmen, die wir im Code, in der Konfiguration oder live geprüft haben. Die vollständige Fassung geben wir auf Anfrage heraus.

## Vertraulichkeit (Art. 32 Abs. 1 lit. b)

### Zutrittskontrolle

| Maßnahme |
|---|
| Server in einem Rechenzentrum in Frankfurt am Main, betrieben über Laravel VPS auf Infrastruktur von DigitalOcean |

### Zugangskontrolle

| Maßnahme |
|---|
| Firewall: von außen nur SSH (22), HTTP (80) und HTTPS (443) offen |
| Test- und Stage-Umgebungen hinter Passwortschutz |

### Zugriffskontrolle

| Maßnahme |
|---|
| Produktionsdienst startet nur mit erlaubten Konfigurationsschlüsseln, Geheimnisse nur in der Server-Umgebungsdatei |

### Pseudonymisierung und Datensparsamkeit

| Maßnahme |
|---|
| Einwilligungsnachweis des Cookie-Banners ohne IP, URL und Browserkennung, Kennung nur als HMAC |
| Formulare: Server gibt die IP-Adresse nicht an ActiveCampaign weiter |
| Vor jedem Drittanbieter-Script werden Klick-Kennungen und Parameter außer Kampagnenangaben aus der Adresse entfernt |
| Analyse- und Werbeereignisse nur mit erlaubten Parametern, keine Formularinhalte |

## Integrität (Art. 32 Abs. 1 lit. b)

### Weitergabekontrolle

| Maßnahme |
|---|
| Verschlüsselte Verbindung (TLS 1.3), HTTP leitet auf HTTPS um |
| HSTS (ein Jahr), `X-Content-Type-Options: nosniff`, `X-Frame-Options: SAMEORIGIN`, `Referrer-Policy: strict-origin-when-cross-origin`, `Permissions-Policy` |
| Formulardaten gehen per HTTPS vom Server an ActiveCampaign, nicht vom Browser (neue Formulare) |

### Eingabekontrolle

| Maßnahme |
|---|
| Formular-Endpunkt: Herkunftsprüfung, 8-kB-Grenze, strenge Schemas, Honeypot |
| Einwilligung mit Textversion und Zeitpunkt gespeichert |

## Verfügbarkeit, Belastbarkeit, Wiederherstellung (Art. 32 Abs. 1 lit. b und c)

### Verfügbarkeit und Belastbarkeit

| Maßnahme |
|---|
| Ratenbegrenzung am Einwilligungs- und am Umfrage-Endpunkt |
| Releases laufen mit automatischer Prüfung, Smoke-Test und Rollback |

## Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

| Maßnahme |
|---|
| Datenschutzerklärung aus versionierten Bausteinen, Build bricht bei Abweichung von Verarbeitungsverzeichnis und Text |
| Verarbeitungsverzeichnis (Art. 30) versioniert in einem eigenen Code-Repository, Prüfung je Änderung |
| Datenschutz-Log mit Wiedervorlagen, wöchentliche Sichtung |

## Organisation und Auftragskontrolle

| Maßnahme |
|---|
| Vertrag zur Auftragsverarbeitung mit ActiveCampaign |
| Benannter Datenschutzkontakt privacy@core-navigator.com |